Halo2、Caulk+、Baloo、Cq Lookup argument细览

原创已于 2023-09-01 12:06:26 修改 · 921 阅读

2 ·

CC 4.0 BY-SA版权

文章标签：

#零知识证明

于 2023-08-31 14:54:53 首次发布

零知识证明专栏收录该内容

363 篇文章

订阅专栏

文章分析了以太坊基金会MaryMaller在Cryptography冬季学校中的讲座内容，比较了LookupArgument的不同实现策略，如Halo2、Caulk、Baloo和Cqlookup。着重讨论了在大表场景下的效率问题和对sublineartimelookup的追求，同时提出了pairings安全性及替代方案的开放问题。

1. 引言

本文主要参考2023年2月以太坊基金会Mary Maller在第13届 BIU Winter School on Cryptography上的视频分享 A Close Look at a Lookup Argument - Mary Maller。

以证明 $0\leq x <4$ 为例，相比于使用算术化电路中如何使用定制gates？中的定制约束，使用lookup约束会更简单——即只需要1个lookup约束就足以：
在这里插入图片描述
实际不只有一个witness $x$ ，而是有很多witnesses，可扩展多个range check：

或者借助selector多项式做部分lookup约束：

2. Halo2的lookup argument策略

详细见：

ZCash Halo2 book之lookup argument

需证明：

$a(i)\in\{t(1),t(2),t(3),t(4)\}$ for $i\in\{0,1,2,3\}$

本文将展示：

尝试用copy argument来证明而失败
尝试用permutation argument来证明而失败
Halo2 lookup argument
Caulk+ lookup argument
Baloo lookup argument
Cq lookup argument

2.1 尝试用copy argument来证明而失败

在这里插入图片描述

2.2 尝试用permutation argument来证明而失败

在这里插入图片描述

2.3 Halo2的解决方案

在这里插入图片描述

但是，以上策略的lookup argument，需对 $t (X)$ 做运行一次permutation argument，相应Prover Time与 $t (X)$ 呈线性关系，对big table场景来说太慢了，为此：

2.4 Caulk+ lookup argument：fast for big tables

上面2.3节中指出，Halo2 lookup argument需对 $t (X)$ 做运行一次permutation argument，相应Prover Time与 $t (X)$ 呈线性关系。
当对于类似 $\{t_1,\cdots,t_{2^{27}}\}$ 这样的large table来说，Halo2 lookup argument速度会很慢，为此，需要构建与 $t (x)$ size 无关的Temporary Table C——可能可借助预处理来实现。
在这里插入图片描述
Caulk+ 中采用的预处理策略为：【见以太坊基金会Dankrad Feist 和 Dmitry Khovratovich 2023年论文 Fast amortized KZG proofs】